GDPR hozzáférési kérelem elutasítás után

Miért érdemes GDPR hozzáférési kérelmet küldeni egy elutasítás után

A legtöbb elutasítás indoklás nélkül érkezik, és egyre több jelentkezés előbb egy szoftveren megy át. 2026 októberében az AFP arról számolt be, hogy a Plus que pro nevű francia startup három volt munkatársa azzal vádolja a céget, hogy olyan toborzószoftvert készített, amelynek AI-utasításai elutasították a nőket, az 55 év feletti vagy 27 év alatti jelölteket és az afrikai vezetéknevű embereket; egyikük szerint panaszt tett a CNIL-nél és a Défenseur des droits-nál. A cég szerint egy volt munkatárs az irányelveivel ellentétben fejlesztette ki azt a verziót, és azt soha nem helyezték üzembe. Ugyanazon a héten török médiumok beszámoltak egy brit parlamenti bizottság jelentéséről, amely arra figyelmeztetett, hogy az automatizált toborzási előszűrés hátrányba hozhatja az etnikai kisebbséghez tartozó jelölteket.

Egy munkáltató szűrőszoftverébe nem láthatsz bele. Az EU-ban viszont kikérheted azokat az adatokat, amelyeket rólad előállított. Erre szolgál a GDPR hozzáférési kérelem — más néven érintetti hozzáférési kérelem vagy DSAR. Az állást nem szerzi meg neked, de megmutathatja, mit rögzítettek, milyen eszközöket használtak, és részt vett-e ember a döntésben, és ez a kiindulópont a hibák kijavításához vagy egy döntés megtámadásához.

Mihez van jogod

A GDPR 15. cikke alapján kérheted a munkáltatótól — és külön minden toborzóügynökségtől —, hogy erősítse meg, kezeli-e a személyes adataidat, és ha igen, adja meg:

• Magukat az adatokat másolatban. Az Európai Unió Bírósága kimondta, hogy ez az összes adatod hű és érthető másolatát jelenti, beleértve a dokumentumokból vagy adatbázisokból vett kivonatokat is, ha ezek a megértéshez szükségesek (C-487/21. sz. ügy).
• Az adatkezelés céljait és az érintett adatok kategóriáit.
• A címzetteket — például a jelöltkövető rendszert, az értékelési vagy videóinterjú-szolgáltatót, vagy a cégcsoport egy másik vállalatát.
• Mennyi ideig őrzik az adataidat, vagy milyen szempontok alapján határozzák ezt meg.
• Honnan származnak az adatok, ha nem te adtad meg őket — ez akkor hasznos, ha egy toborzó máshol találta meg a profilodat.
• Alkalmaztak-e automatizált döntéshozatalt, és ha igen, érthető információt az alkalmazott logikáról és a rád nézve várható következményekről.

Egy felvételi folyamatban a személyes adataid közé tartozhat az önéletrajzod és a jelentkezési lapod, a szűrési vagy rangsorolási pontszámok, az online teszteredmények, az AI- vagy videóinterjúk felvételei és átiratai, az interjúztatók rólad készült jegyzetei és értékelőlapjai, valamint a jelentkezésedről szóló belső e-mailek.

Automatizált elutasítások és a 22. cikk

A GDPR 22. cikke jogot ad arra, hogy ne vonatkozzon rád olyan, kizárólag automatizált adatkezelésen alapuló döntés, amely jelentősen érint — és egy elutasítás lehet ilyen döntés. Ha a munkáltató valamelyik kivételre hivatkozik (például hogy a döntés szerződéskötéshez szükséges, vagy a kifejezett hozzájárulásodra), akkor is lehetővé kell tennie, hogy emberi beavatkozást kérj, kifejtsd az álláspontodat, és vitasd a döntést.

Két uniós bírósági ítélet teszi hasznosabbá ezt a jogot:

• A SCHUFA-ügyben (C-634/21, 2023. december) a Bíróság kimondta, hogy egy automatikusan előállított pontszám automatizált döntésnek minősül, ha az azt megkapó cég döntése nagymértékben azon alapul. Az a toborzó, aki a gyakorlatban mindenkit elutasít egy bizonyos AI-pontszám alatt, hasonló helyzetben lehet.
• A Dun & Bradstreet Austria-ügyben (C-203/22, 2025. február) a Bíróság kimondta, hogy az „alkalmazott logikára vonatkozó érthető információ” az adataidra ténylegesen alkalmazott eljárás és elvek tömör, érthető magyarázatát jelenti — nem egy bonyolult képletet. Ha a cég üzleti titokra hivatkozik, az információt az adatvédelmi hatóságnak vagy a bíróságnak kell átadnia, amely eldönti, mennyit kapsz meg belőle.

Az uniós mesterségesintelligencia-rendelet (AI Act) jogot ad arra, hogy világos magyarázatot kapj az AI szerepéről a magas kockázatú rendszereken — köztük a felvételi eszközökön — alapuló döntésekben (86. cikk), de csak ott, ahol az uniós jog ezt még nem biztosítja, így továbbra is a GDPR a fő eszközöd. A rendelet felvételi eszközökre vonatkozó, magas kockázatú kötelezettségei az AI Omnibus értelmében 2027. december 2-tól alkalmazandók.

Hogyan küldd el a kérelmet

Nincs kötelező formanyomtatvány. Az e-mail is megfelel, és a cég adatvédelmi tájékoztatója általában megnevez egy kapcsolattartót vagy adatvédelmi tisztviselőt. Elég egy rövid kérelem:

„Tárgy: Hozzáférési kérelem (GDPR 15. cikk). [dátum] napján jelentkeztem a(z) [pozíció, hivatkozási szám] pozícióra. A GDPR 15. cikke alapján kérem, erősítsék meg, kezelik-e a személyes adataimat, és küldjenek másolatot a jelentkezésemmel kapcsolatos összes személyes adatomról, beleértve a szűrési pontszámokat vagy rangsorokat, a teszt- és értékelési eredményeket, valamint az interjúk felvételeit, átiratait és jegyzeteit. Kérem, tájékoztassanak továbbá az adatkezelés céljairól, a címzettekről (a szoftverszolgáltatókat is beleértve), a megőrzési időről, valamint — ha automatizált döntéshozatalt alkalmaztak — az alkalmazott logikára vonatkozó érthető információkról. Kérem, hogy a 12(3). cikkben előírtak szerint egy hónapon belül válaszoljanak. [Név, a jelentkezéshez használt e-mail-cím]”

• Arról az e-mail-címről küldd, amellyel jelentkeztél; így könnyű azonosítani téged. A cég csak akkor kérhet további információt, ha észszerű kétsége van a személyazonosságodat illetően.
• Tarts meg egy másolatot, és jegyezd fel a dátumot: az egyhónapos határidő akkor indul, amikor a cég megkapja a kérelmedet.
• Ha ügynökségen vagy állásportálon keresztül jelentkeztél, mindegyiküknek külön kérelmet küldj — mindegyik a saját adataiért felel.

Mit kapsz vissza — és mit tarthatnak vissza

• Idő: válasz indokolatlan késedelem nélkül, legfeljebb egy hónapon belül. Összetett vagy nagyszámú kérelem esetén a cég további két hónappal meghosszabbíthatja a határidőt, de ezt az első hónapon belül közölnie kell veled, és meg kell indokolnia.
• Költség: az első másolat ingyenes. Az Európai Unió Bírósága megerősítette, hogy a kérelmedet nem kell indokolnod (C-307/22). Észszerű díj csak a további másolatokért kérhető.
• Mások jogai: a másolat nem érintheti hátrányosan másokat, ezért a többi jelölt adatait eltávolítják, és bizonyos részleteket, például a kollégák belső megjegyzéseinek egyes részeit, kitakarhatják. A kitakarásnak célzottnak kell lennie, nem lehet ürügy arra, hogy mindent megtagadjanak.
• Visszaélés: a cég csak a nyilvánvalóan megalapozatlan vagy túlzó, például ismétlődő kérelmeket utasíthatja el vagy teheti díjkötelessé — és ezt bizonyítania kell tudnia.
• Nemzeti kivételek: az uniós országok bizonyos esetekben korlátozhatják a hozzáférést, így a részletek országonként kissé eltérnek.

Ha megvannak az adataid, kérheted a hibák helyesbítését, a törlést, ha már nincs rájuk szükség, vagy tiltakozhatsz az ellen, hogy az önéletrajzodat jövőbeli álláshelyekhez megőrizzék.

Ha nem válaszolnak: panasz és további lépések

Ha a cég elutasítja a kérelmet, egy hónapon belül meg kell indokolnia, és tájékoztatnia kell a panasztételi jogodról. Ha nem reagál, vagy hiányos választ ad, küldj egy emlékeztetőt, majd tegyél panaszt a saját országod adatvédelmi hatóságánál — Franciaországban például a CNIL-nél — vagy abban az országban, ahol a munkáltató székhelye van. Az Európai Adatvédelmi Testület (EDPB) listát vezet az összes nemzeti hatóságról, a panasztétel pedig ingyenes.

Ha az adatok hátrányos megkülönböztetésre utalnak — például életkor, nem vagy származás szerinti szűrőkre —, a nemzeti egyenlőségi szervhez is fordulhatsz, és sok országban munkajogász vagy szakszervezet is tanácsot adhat. Az Egyesült Királyságban ugyanez a hozzáférési jog a UK GDPR alapján érvényes, a panaszokat pedig az ICO-hoz kell benyújtani.